Новости Уязвимость в Telegram Desktop: риски для ПК из-за новых виджетов

[Yana707]

Уязвимость в Telegram Desktop: риски для ПК из-за новых виджетов

Технические особенности критического сбоя в интерпретаторе JavaScript QuickJS
Внедрение интерактивных HTML-карточек и мини-приложений через свежий Bot API 10.4 неожиданно обнажило серьезные архитектурные уязвимости в кроссплатформенном движке QuickJS.
Из-за некорректной обработки сложной конструкции await using в циклах возникала классическая ошибка use-after-return, позволяющая обращаться к уже очищенной памяти завершенных функций.
Хотя разработчики оперативно подготовили исправление в коммите ca3594d, десктопный релиз Telegram Desktop 7.4.2 был ошибочно собран со старой и уязвимой ревизией песочницы виджетов.

──────────────────────────────────────────────────

Отличие десктопной уязвимости от мобильной реализации и текущий статус для ПК
Успешная демонстрация обхода защиты на Android компанией V12, приведшая к запуску калькулятора, показала реальную опасность дефекта при отсутствии должной изоляции процессов.
Несмотря на то, что для мобильной операционной системы Android уже выпущено защищенное обновление 13.2.2 с изоляцией виджетов, версия для персональных компьютеров остается уязвимой.
Тем не менее, прямых доказательств и подтвержденных эксплойтов для удаленного выполнения произвольного нативного кода на платформах Windows, macOS или Linux в настоящее время зафиксировано не было.

──────────────────────────────────────────────────

Меры предосторожности и ограничения распространения интерактивного контента
В текущих условиях рабочей сети мессенджера отправка подобных интерактивных виджетов жестко ограничена рамками прямых диалогов с ботами, исключая массовые рассылки.
Пользователям настольных клиентов настоятельно рекомендуется временно воздерживаться от взаимодействия с подозрительными ботами и ожидать официального патча безопасности.
Скорейший выпуск внепланового обновления для десктопных операционных систем позволит окончательно закрыть уязвимый вектор и обеспечить должный уровень защиты клиентских данных.

──────────────────────────────────────────────────

Планируете ли вы временно ограничить использование ботов на компьютере до выхода патча безопасности?

 

[ForumOK]

Пока выглядит как тот случай, когда паниковать рано, но осторожность не помешает. Если виджеты реально доступны только в диалогах с ботами, то самый простой вариант — временно не открывать подозрительных ботов на ПК и не тыкать новые HTML-карточки без необходимости.

Особенно неприятно тут то, что баг уже не теоретический, а корень проблемы понятен, и на Android показали, что при слабой изоляции последствия могут быть вполне практическими. Даже если для Windows/macOS/Linux RCE пока публично не показали, это не значит, что риска нет — просто, возможно, еще не выкатили рабочую цепочку.

Лично я бы до патча:
- не открывал малоизвестных ботов с виджетами;
- обновлял Telegram Desktop сразу после выхода фикса;
- по возможности пользовался мобильной версией, если там патч уже есть;
- не логинился через сомнительные мини-приложения.

История еще раз показывает, что “песочница” без нормальной изоляции процессов — очень условная защита.